AI降低了把软件漏洞转化为可用攻击的门槛，但修补、测试和部署软件并没有因此变得同样快。a16z的Asaf Ezra与Stephenie Zhang在2026年11月6日发布的报告中提出，网络安全不能只寄望于更快打补丁；系统还需要在永久修复到位前得到保护。12

修补速度跟不上，暴露窗口就会拉长

报告引用Verizon 2026年的数据：漏洞完成全面修复的中位时间为43天；在该数据集已知遭利用的漏洞中，只有**26%**得到完整修复。1 这意味着，即使漏洞已被发现并确认遭到攻击，许多系统仍可能在相当一段时间内处于风险之中。

a16z作者此前讨论过，攻击方将软件缺陷转化为可用漏洞利用程序的专业工作，过去是网络攻击的瓶颈；他们认为，这项工作的成本在2025年至2026年下降了，而修补并没有以同样速度加快。2 因此，他们的判断是，单靠“更努力地打补丁”，无法消除攻击利用与修复完成之间的时间差。2

这并不是说补丁不再重要。关键在于把临时防护和永久修复视为两件互补的事：修复尚未部署时先降低暴露和攻击影响，之后仍要完成并验证长期修复。

PHP案例：有些系统可能等不到补丁

PHP案例凸显了无法快速升级、甚至不会再获得修复的软件所面临的难题。Ezra在一则相关说明中称，去年10月有两个严重PHP漏洞在修复程序发布前泄露；保护服务覆盖范围之外，仍有约260万至440万套PHP安装暴露在风险中，其中多数运行的版本将不会再获得修复。37

在这种情况下，可以先在易受攻击的系统前部署防护规则，争取在每个安装实例都完成修补前拦截攻击。Ezra的说明提到，相关防护规则可在数小时内编写，并部署到数百万台服务器前。37 报告也主张利用机器速度生成和分发防御规则，让保护能力不只局限于大型云平台。2

但临时防护不是修复漏洞的替代品。如果系统不在防护覆盖范围内，或者保护措施失效，风险仍然存在。PHP案例恰恰说明，长期无法获得补丁的系统尤其需要考虑防护覆盖和恢复方案。37

报告提出六类机会，但细节仍有边界

Ezra与Zhang将报告定位为安全产品领域的六类新一代机会。12 不过，现有材料不足以逐项核实完整清单及每一类的具体产品设计。第三方摘要提到的若干较宽泛方向包括网络隔离、机器速度检测、逐请求身份验证、经过验证的备份，以及软件供应链控制。34

这些方向共同指向一种多层防护思路：

• 先限制攻击扩散。 网络隔离等措施可以缩小入侵影响范围，不必假设每台设备都能立即完成修补。34
• 让检测和响应跟上攻击速度。 当漏洞利用能力加快，及时识别威胁并采取保护措施就更加重要。234
• 持续核验访问权限。 第三方摘要提到逐请求身份验证，意味着不能只依赖用户登录时的一次检查。34
• 确认系统能够恢复。 经过测试的备份与恢复能力，关注的不只是阻止入侵，也包括出事后能否恢复运营。34
• 管好软件及其依赖。 供应链控制旨在识别组织引入的软件或工具带来的风险。34

需要注意，这些是现有材料支持的方向，并非对报告六类机会的完整复述。现有摘录也不足以核实与报告相关的一些更具体说法，例如每日告警数量、凭证有效期、勒索软件统计，以及从公开补丁到生成攻击代码所需的确切时间。

实际做法：先防护，再永久修复

更稳妥的思路不是在打补丁和其他防御措施之间二选一，而是把它们分层使用：先降低系统当下遭攻击的概率和影响，再在修复准备就绪后完成部署与验证。12

这对难以快速升级的系统尤其重要。不过，临时防护不应被当成万无一失的解决方案。PHP案例表明，如果安装实例没有得到保护，或其软件版本已不再获得修复，暴露风险就可能持续存在。37

Ezra与Zhang所讨论的方向，因此不只是更快地扫描漏洞，而是建立一套能在补丁尚未到位时隔离攻击、识别风险、管理访问并支持恢复的安全防线。

AI降低了把软件漏洞转化为可用攻击的门槛，但修补、测试和部署软件并没有因此变得同样快。a16z的Asaf Ezra与Stephenie Zhang在2026年11月6日发布的报告中提出，网络安全不能只寄望于更快打补丁；系统还需要在永久修复到位前得到保护。12

修补速度跟不上，暴露窗口就会拉长

报告引用Verizon 2026年的数据：漏洞完成全面修复的中位时间为43天；在该数据集已知遭利用的漏洞中，只有**26%**得到完整修复。1 这意味着，即使漏洞已被发现并确认遭到攻击，许多系统仍可能在相当一段时间内处于风险之中。

a16z作者此前讨论过，攻击方将软件缺陷转化为可用漏洞利用程序的专业工作，过去是网络攻击的瓶颈；他们认为，这项工作的成本在2025年至2026年下降了，而修补并没有以同样速度加快。2 因此，他们的判断是，单靠“更努力地打补丁”，无法消除攻击利用与修复完成之间的时间差。2

这并不是说补丁不再重要。关键在于把临时防护和永久修复视为两件互补的事：修复尚未部署时先降低暴露和攻击影响，之后仍要完成并验证长期修复。

PHP案例：有些系统可能等不到补丁

PHP案例凸显了无法快速升级、甚至不会再获得修复的软件所面临的难题。Ezra在一则相关说明中称，去年10月有两个严重PHP漏洞在修复程序发布前泄露；保护服务覆盖范围之外，仍有约260万至440万套PHP安装暴露在风险中，其中多数运行的版本将不会再获得修复。37

在这种情况下，可以先在易受攻击的系统前部署防护规则，争取在每个安装实例都完成修补前拦截攻击。Ezra的说明提到，相关防护规则可在数小时内编写，并部署到数百万台服务器前。37 报告也主张利用机器速度生成和分发防御规则，让保护能力不只局限于大型云平台。2

但临时防护不是修复漏洞的替代品。如果系统不在防护覆盖范围内，或者保护措施失效，风险仍然存在。PHP案例恰恰说明，长期无法获得补丁的系统尤其需要考虑防护覆盖和恢复方案。37

报告提出六类机会，但细节仍有边界

Ezra与Zhang将报告定位为安全产品领域的六类新一代机会。12 不过，现有材料不足以逐项核实完整清单及每一类的具体产品设计。第三方摘要提到的若干较宽泛方向包括网络隔离、机器速度检测、逐请求身份验证、经过验证的备份，以及软件供应链控制。34

这些方向共同指向一种多层防护思路：

• 先限制攻击扩散。 网络隔离等措施可以缩小入侵影响范围，不必假设每台设备都能立即完成修补。34
• 让检测和响应跟上攻击速度。 当漏洞利用能力加快，及时识别威胁并采取保护措施就更加重要。234
• 持续核验访问权限。 第三方摘要提到逐请求身份验证，意味着不能只依赖用户登录时的一次检查。34
• 确认系统能够恢复。 经过测试的备份与恢复能力，关注的不只是阻止入侵，也包括出事后能否恢复运营。34
• 管好软件及其依赖。 供应链控制旨在识别组织引入的软件或工具带来的风险。34

需要注意，这些是现有材料支持的方向，并非对报告六类机会的完整复述。现有摘录也不足以核实与报告相关的一些更具体说法，例如每日告警数量、凭证有效期、勒索软件统计，以及从公开补丁到生成攻击代码所需的确切时间。

实际做法：先防护，再永久修复

更稳妥的思路不是在打补丁和其他防御措施之间二选一，而是把它们分层使用：先降低系统当下遭攻击的概率和影响，再在修复准备就绪后完成部署与验证。12

这对难以快速升级的系统尤其重要。不过，临时防护不应被当成万无一失的解决方案。PHP案例表明，如果安装实例没有得到保护，或其软件版本已不再获得修复，暴露风险就可能持续存在。37

Ezra与Zhang所讨论的方向，因此不只是更快地扫描漏洞，而是建立一套能在补丁尚未到位时隔离攻击、识别风险、管理访问并支持恢复的安全防线。